1
• Совсем недавно Microsoft предоставляли информацию, что все новые учётные записи будут по умолчанию заводиться без пароля, чтобы защитить их от соответствующих атак, таких как фишинг, подбор пароля и подстановка учётных данных! Новым пользователям предложат несколько вариантов входа в учётную запись, в том числе биометрическую аутентификацию через отпечатки пальцев и распознавание лиц.
• Так вот, на прошедшем Black Hat в Лас-Вегасе, немецкие исследователи Тильман Освальд и доктор Батист Дэвид рассказали, как можно взломать бизнес-версию продукта.
• После того, как Дэвид вошел в систему, используя снимок лица, Тильман, выступая в роли злоумышленника с правами локального администратора, просто выполнил несколько строк кода и внедрил отсканированное изображение своего лица, полученное на другом компьютере, в биометрическую базу данных целевого компьютера. Через несколько секунд компьютер разблокировал систему, приняв его лицо за изображение Дэвида.
• Windows Hello в бизнес-среде работает следующим образом: при первом запуске генерируется пара открытого и закрытого ключей. Этот открытый ключ затем регистрируется у поставщика удостоверений организации, например, Entra ID.
• Сами биометрические данные хранятся в базе данных, управляемой биометрической службой Windows (WBS), и эта БД зашифрована. Затем, после аутентификации, система сопоставляет данные сканирования в режиме реального времени с сохранённым шаблоном.
• Проблема заключается в том, что в некоторых реализациях шифрование, защищающее эту базу данных, не может остановить злоумышленника, уже получившего права локального администратора. Это позволяет ему расшифровать биометрические данные.
• Решение Microsoft Enhanced Sign-in Security (ESS) изолирует весь процесс биометрической аутентификации внутри защищённой среды, управляемой гипервизором системы. Для работы ESS устройству требуется современный 64-разрядный процессор с поддержкой аппаратной виртуализации (поскольку ESS построен на базе технологии Virtualization-Based Security), чип TPM 2.0, безопасная загрузка (Secure Boot) в прошивке и специально сертифицированные биометрические датчики. Microsoft требует такого уровня защиты для своей новой линейки ПК